Databehandleravtale for byråer

Versjon 1.1, 31. oktober 2026. Den engelske versjonen er hovedversjonen. Ved tvil gjelder den.

Denne avtalen er en del av white label-vilkårene mellom The CSS Partner (Gezar, et dansk enkeltpersonforetak eid av Magnus Bo Nielsen, CVR-nr. 42476226, Lupinskrænten 58, 8500 Grenaa, Danmark) og Byrået. Den gjelder fra dagen Byrået godtar vilkårene. «GDPR» betyr forordning (EU) 2016/679.

1. Hvem som er ansvarlig for hva

Det meste av personopplysningene i tjenesten behandles ikke på vegne av Byrået. Tabellen viser hvem som bestemmer hvorfor og hvordan opplysningene brukes.

Data	Hvem er behandlingsansvarlig	The CSS Partners rolle som databehandler?
Tekniske data om besøkende på White Label CSS-nettstedet (som IP-adresse, enhet, viste sider, klikk på produkter)	The CSS Partner	Nei
Innloggingsdata for Byråets egne ansatte i partnerportalen	The CSS Partner, for å drive portalen og avtalen	Nei
Byråets egne faktureringsdata (navn, adresse, mva-nummer, betalingsmåte)	The CSS Partner	Nei
Under Videresalg: konto- og betalingsdata om Byråets kunder (navn, e-post, firma, land, mva-nummer, Butikker, abonnement og betalinger)	The CSS Partner, som selger	Nei
Under Videresalg: det Byrået mottar om sine kunder (navn, e-post, Butikker, status, betalinger)	Byrået, som egen behandlingsansvarlig	Nei. Vi utleverer dataene til Byrået
Kontaktdata og Merchant Center-ID-er for kunder som Byrået selv legger inn eller importerer (full kontroll, uten betaling gjennom oss)	Byrået	Ja
E-poster vi sender til disse kundene i Byråets navn fra Byråets e-postdomene	Byrået	Ja
Byråets egne kundeforhold, markedsføring og avtaler	Byrået	Nei

Byrået er selv behandlingsansvarlig for sine kundeforhold. Vi bestemmer ikke hvordan Byrået bruker kundenes data.

2. Når vi ikke behandler data på vegne av Byrået

Hvis Byrået ikke legger inn kundedata i portalen og ikke sender e-poster gjennom den, behandler vi ikke personopplysninger på vegne av Byrået. Da gjelder ikke punkt 3 til 9, og hver part følger GDPR for dataene den har behandlingsansvaret for. Det samme gjelder Videresalgskunder: vi behandler deres data som behandlingsansvarlig, ikke for Byrået.

Produktfeeder og produktdata fra Byråets kunder er forretningsdata, ikke personopplysninger. Hvis en feed inneholder personopplysninger, er det et brudd på punkt 3.6 i vilkårene.

3. Behandling på vegne av Byrået

Denne delen gjelder bare de to radene som er merket «Ja» i punkt 1.

1. Formål og gjenstand. Vi behandler dataene for å drive White Label CSS-en for Byrået: for å lagre Byråets kundeposter og Butikker, og for å sende e-postene Byrået har slått på, i Byråets navn.
2. Art. Lagring, visning i portalen, overføring til Googles CSS Center der det er nødvendig for å knytte en Butikk til, og utsending av e-post.
3. Typer data. Navn, e-postadresse, telefonnummer (valgfritt), firma, land, mva-nummer, Merchant Center-ID, butikkadresse, status for kundens Butikker, og e-postene som er sendt, med dato og leveringsstatus.
4. Registrerte. Kontaktpersoner hos Byråets kunder.
5. Varighet. Så lenge vilkårene løper, og til sletting etter punkt 8.
6. Instrukser. Vi behandler dataene bare etter Byråets dokumenterte instrukser. Vilkårene, denne avtalen og det Byrået gjør i portalen er dets instrukser. Vi sier fra til Byrået hvis vi mener at en instruks bryter loven.
7. Taushetsplikt. Alle som har tilgang til dataene hos oss, er bundet av taushetsplikt.
8. Sikkerhet. Vi anvender tiltakene i punkt 6.
9. Bistand. Vi hjelper Byrået med å besvare henvendelser fra registrerte, og med plikter knyttet til sikkerhet, brudd, personvernkonsekvensvurderinger og forhåndsdrøfting med tilsynsmyndigheten, så langt behandlingen tillater det. Vi sier fra til Byrået uten unødig opphold hvis en registrert kontakter oss om data vi behandler for Byrået.
10. Dokumentasjon. Vi gir Byrået den informasjonen det trenger for å vise at vi oppfyller denne avtalen. Byrået kan revidere oss én gang i året, med 30 dagers varsel, i arbeidstiden og for egen regning, med en revisor som er bundet av taushetsplikt. Vi kan i stedet gi et skriftlig svar på Byråets spørsmål, hvis det dekker det samme.
11. Byråets plikter. Byrået har et rettslig grunnlag for dataene det legger inn, og informerer kundene sine og deres ansatte om at dataene håndteres av oss på dets vegne. Det legger ikke inn data det ikke har rett til å legge inn.

4. Underdatabehandlere

Byrået gir oss en generell tillatelse til å bruke underdatabehandlerne nedenfor. Vi sier fra til Byrået om en ny eller erstattet underdatabehandler på e-post minst 30 dager før den begynner. Byrået kan gjøre innsigelse på saklig grunnlag innen den fristen. Hvis vi ikke kan imøtekomme innsigelsen, kan Byrået si opp vilkårene med virkning fra dagen endringen begynner. Hver underdatabehandler er bundet av en avtale med de samme personvernforpliktelsene som denne avtalen. Vi er ansvarlige for dem.

Underdatabehandler	Hva den gjør	Hvor
The CSS Partners egne servere	Huser portalen, databasen og sammenligningssiden	Danmark (nås gjennom Cloudflare)
Resend	Sender e-poster i Byråets navn	Region eu-west-1 (Irland)
Cloudflare	DNS, sikkerhet og sertifikater for Byråets domene, og levering av nettstedet	Globalt nettverk
Cloudflare R2	Lagrer krypterte sikkerhetskopier av databasen. Nøkkelen som åpner dem, oppbevares bare av oss	EU
Google Drive	Lagrer krypterte sikkerhetskopier av filer og databaseutdrag. Nøkkelen oppbevares bare av oss	Plasseringen er ikke låst til EU. Overføringen bygger på Googles personvernvilkår og standard personvernbestemmelser (standardkontraktsklausuler)
Stripe	Betalinger og fakturaer for Byråets white label-avgift og, under Videresalg, for Videresalgskundene	EU og USA

Bortsett fra Google Drive er ikke Google vår underdatabehandler. Når vi knytter en Butikk til i Googles CSS Center, behandler Google Merchant Center-dataene på egne vilkår med Byråets kunde og med oss som CSS. Stripe håndterer betalingsdata som uavhengig behandlingsansvarlig for noen formål, som svindelforebygging og sine lovpålagte plikter.

5. Overføringer utenfor EU og EØS

1. Vår egen server står i Danmark. Resend lagrer i Irland. Sikkerhetskopier i R2 oppbevares i EU. Krypterte kopier i Google Drive kan oppbevares utenfor EU og er dekket av overføringsgrunnlagene i punkt 5.1. Cloudflare og Stripe er amerikanske selskaper med tilstedeværelse i EU. Der en underdatabehandler overfører data til et land uten en beslutning om tilstrekkelig beskyttelsesnivå, bygger overføringen på Europakommisjonens standard personvernbestemmelser (beslutning (EU) 2021/914) eller et annet overføringsgrunnlag i GDPR.
2. Hvis Byrået er etablert utenfor EU og EØS, og landet det er etablert i, ikke har en beslutning om tilstrekkelig beskyttelsesnivå, er Kommisjonens standard personvernbestemmelser (standardkontraktsklausuler) en del av denne avtalen for dataene vi sender til Byrået. For data vi utleverer som behandlingsansvarlig, gjelder modul 1. For data vi sender tilbake som databehandler, gjelder modul 4. Opplysningene til vedleggene følger av denne avtalen og av punkt 1. Dansk rett gjelder der bestemmelsene lar valget stå åpent, og Retten i Randers er domstolen.

6. Sikkerhet

Vi beskytter dataene med disse tiltakene:

• krypterte forbindelser (TLS) mellom nettleseren, nettstedet og portalen,
• innlogging med engangslenke, signerte øktinformasjonskapsler og en rolle for hver bruker (eier, administrator, ansatt, leser), der en deaktivert bruker mister tilgangen umiddelbart,
• portalen, nettstedet og bakenden er adskilt, og nettleseren snakker bare med Byråets egen nettstedsadresse,
• nøkler og hemmeligheter oppbevares bare på serveren, aldri i nettleseren,
• en e-postvakt som stopper all e-post som Byrået ikke har slått på, og all e-post fra en uverifisert avsender,
• logger over sendte e-poster,
• tilgang til kundedata bare for dem som trenger det for å drive tjenesten.

Vi gjennomgår tiltakene når tjenesten eller risikoene endres. Vi senker ikke beskyttelsesnivået i løpet av avtaleperioden.

7. Brudd på personopplysningssikkerheten

Vi sier fra til Byrået uten unødig opphold når vi blir kjent med et brudd på dataene vi behandler på dets vegne. Meldingen sier hva som har skjedd, hvilke data og hvor mange personer som kan være berørt, hva vi tror konsekvensene er, og hva vi har gjort. Vi sender ytterligere informasjon etter hvert som vi får vite mer. Byrået avgjør om tilsynsmyndigheten og de registrerte skal varsles.

8. Sletting og tilbakelevering ved avslutning

1. Når vilkårene opphører, slutter vi å behandle Byråets kundeposter og e-poster.
2. På forespørsel som fremsettes før avslutningen, eller innen 30 dager etter, gir vi Byrået en eksport av kundepostene i et vanlig format (CSV).
3. Vi sletter kundepostene og e-postloggene som vi behandler på Byråets vegne innen 30 dager etter at vilkårene opphører, eller innen 30 dager etter avviklingsperioden etter punkt 5.5 i vilkårene, hvis det er senere. Kopier i sikkerhetskopier slettes automatisk i R2 senest 35 dager etter at de er laget, og i Google Drive senest 190 dager etter at de er laget.
4. Vi beholder det loven krever at vi beholder som behandlingsansvarlig, som fakturaer og regnskapsbilag i 5 år etter danske bokføringsregler. Disse dataene behandles ikke på Byråets vegne.
5. Vi bekrefter slettingen på e-post på forespørsel.

9. Ansvar, lov og endringer

1. Ansvaret følger punkt 8 i vilkårene. Et personvernkrav fra en registrert endrer ikke dette mellom partene, med mindre loven sier noe annet.
2. Dansk rett gjelder. Tvister går til Retten i Randers (Randers tingrett), som i vilkårene.
3. Vi kan endre denne avtalen for fremtiden med 60 dagers skriftlig varsel, hvis loven, en underdatabehandler eller tjenesten endres. Byrået kan si opp før endringen trer i kraft.
4. Hvis denne avtalen og vilkårene er i strid om personopplysninger, går denne avtalen foran.
5. Spørsmål om personopplysninger sendes til kontakt@gezar.dk.